Il 23 ottobre 2026 è entrato in vigore il D.lgs 179/2026 sull'AI Act. Nuovi poteri di controllo per ACN e AgID e obblighi stringenti per le PMI sui software decisionali.
Il 23 ottobre 2026 è entrato in vigore il Decreto Legislativo 7 ottobre 2026, n. 179. Il provvedimento, composto da 54 articoli e pubblicato nella Gazzetta Ufficiale n. 234 dell'8 ottobre 2026, attua in Italia il Regolamento europeo sull'intelligenza artificiale (Regolamento UE 2024/1689). Per le imprese e gli studi professionali che adottano soluzioni basate sull'intelligenza artificiale, la conformità normativa diventa immediatamente operativa. Il fulcro del decreto ruota attorno al tema D.lgs 179 2026 AI Act controlli ACN AgID: le aziende devono censire i software in uso e garantire una supervisione umana documentabile nei processi decisionali, in particolare per la gestione del personale.
D.lgs 179 2026 AI Act controlli ACN AgID e ruoli delle autorità
Il decreto ripartisce i poteri di vigilanza, ispezione e sanzione tra diverse autorità nazionali. L'AgID (Agenzia per l'Italia Digitale) assume il ruolo di autorità nazionale di notifica. Le sue responsabilità comprendono le procedure di accreditamento, valutazione e monitoraggio degli organismi terzi incaricati di valutare la conformità dei sistemi.
L'ACN (Agenzia per la Cybersicurezza Nazionale) è designata come autorità nazionale di vigilanza del mercato e punto di contatto unico. L'agenzia dispone di poteri di ispezione e di indagine d'ufficio. Inoltre, riceve le notifiche di incidenti gravi e gestisce il registro nazionale dei sistemi ad alto rischio.
Nei settori regolamentati, Banca d'Italia, CONSOB e IVASS mantengono la competenza per la vigilanza sui sistemi ad alto rischio in ambito creditizio, finanziario e assicurativo. Il Garante per la protezione dei dati personali interviene in base all'articolo 74, paragrafo 8, dell'AI Act per tutti i profili inerenti al trattamento dei dati personali.
Le regole sul lavoro e le decisioni del personale
L'articolo 41 del decreto introduce vincoli rigorosi per l'impiego dell'intelligenza artificiale nelle risorse umane. È vietato adottare decisioni definitive su assunzioni, licenziamenti, promozioni o provvedimenti disciplinari affidandosi esclusivamente a un algoritmo.
La normativa richiede l'intervento decisionale di una persona fisica dotata di potere effettivo. In assenza di questa supervisione umana, l'atto aziendale è considerato nullo. Il decreto garantisce inoltre al dipendente il diritto di ottenere una motivazione comprensibile sul funzionamento e sui parametri dei sistemi impiegati per la sua valutazione.
Sanzioni previste e agevolazioni per le PMI
L'articolo 23 definisce il quadro sanzionatorio amministrativo, con importi proporzionati alla gravità della violazione. L'impiego di pratiche vietate comporta multe fino a 35 milioni di euro o al 7% del fatturato mondiale annuo. La violazione degli obblighi per i sistemi ad alto rischio e per la trasparenza prevede sanzioni fino a 15 milioni di euro o al 3% del fatturato. La comunicazione di dati inesatti o fuorvianti alle autorità è punita con multe fino a 7,5 milioni di euro o all'1% del fatturato.
Il legislatore ha previsto una regola di salvaguardia specifica per le piccole e medie imprese e per le startup. A differenza del principio generale applicato alle grandi aziende, per le PMI la sanzione pecuniaria viene calcolata applicando il valore più basso tra la quota fissa e la percentuale sul fatturato.
Cosa devono fare le aziende
L'adozione di software gestionali con moduli predittivi, piattaforme di selezione del personale o agenti conversazionali per l'assistenza clienti comporta responsabilità dirette. Le organizzazioni devono seguire questi passaggi operativi:
- Censimento e classificazione dei sistemi: mappare ogni applicativo o algoritmo in uso. Catalogarli in base al livello di rischio definito dall'AI Act (pratiche vietate, alto rischio, rischio limitato con obblighi di trasparenza, rischio minimo). Questo è l'adempimento prioritario.
- Supervisione nei processi di personale: verificare che le decisioni relative a selezione, valutazione e sanzioni disciplinari siano sempre convalidate e formalizzate da un responsabile umano. Il processo deve essere documentato a verbale per evitare la nullità prevista dall'articolo 41.
- Audit contrattuale dei fornitori: richiedere ai fornitori di soluzioni informatiche la documentazione tecnica, le istruzioni operative, i registri di accuratezza e le garanzie di conformità all'AI Act e alle norme di cybersicurezza.
- Formazione interna: avviare programmi obbligatori di alfabetizzazione sull'uso corretto e sui rischi dell'intelligenza artificiale per i dipendenti e i collaboratori autorizzati a interagire con questi strumenti.
Verificare nei regolamenti interni se i processi decisionali relativi al personale fanno già uso di software o algoritmi privi di una firma umana formalizzata.
